umowa jako przynęta

Umowa jako przynęta to fałszywy załącznik udający dokument prawny, wykorzystywany w atakach phishingowych.

Jak działa załącznik udający umowę

„Umowa jako przynęta” to określenie techniki phishingowej, w której napastnik nadaje złośliwemu plikowi wiarygodną nazwę i wygląd dokumentu prawnego. Wiadomość może sugerować, że załącznik zawiera umowę, aneks, wypowiedzenie, zamówienie albo dokument do podpisu. Taki kontekst ma skłonić odbiorcę do szybkiego otwarcia pliku bez sprawdzenia nadawcy i rzeczywistego formatu załącznika. Atak nie polega na tym, że sama umowa jest szczególnym rodzajem złośliwego programu. Jest ona jedynie przynętą, czyli elementem socjotechnicznym zwiększającym prawdopodobieństwo wykonania niebezpiecznej czynności.

Napastnik może użyć załącznika PDF, dokumentu pakietu Microsoft Office, archiwum ZIP albo pliku HTML. Niebezpieczny może być również plik z podwójnym rozszerzeniem, na przykład umowa.pdf.exe. W systemie Windows końcowe rozszerzenia znanych typów plików bywają ukrywane, dlatego użytkownik może zobaczyć nazwę przypominającą dokument PDF, choć faktycznym typem pliku jest program wykonywalny. Ryzyko zależy od zawartości pliku i sposobu jego obsługi, a nie od samego słowa „umowa” w nazwie.

Format pliku, makra i przekierowanie do fałszywej strony

Dokument może zawierać odsyłacz prowadzący do strony logowania imitującej Microsoft 365, bank, system elektronicznego obiegu dokumentów lub firmowy portal. Po kliknięciu użytkownik trafia do witryny kontrolowanej przez napastnika i może zostać poproszony o podanie adresu e-mail, hasła albo kodu jednorazowego. Adres strony nie musi odpowiadać nazwie prezentowanej w treści dokumentu. Trzeba sprawdzić pełną domenę w pasku przeglądarki, ponieważ podobieństwo wizualne witryny nie potwierdza jej autentyczności. Sama obecność HTTPS również nie jest dowodem, że strona należy do prawdziwej firmy; szyfrowanie połączenia może mieć także strona phishingowa.

Pliki biurowe mogą zawierać makra, odwołania zewnętrzne lub inne aktywne elementy. Współczesne wersje Microsoft Office domyślnie blokują makra pochodzące z Internetu w wielu typowych scenariuszach, ale użytkownik może zostać nakłoniony do ich włączenia komunikatem wyświetlanym w aplikacji. Włączenie makr w nieznanym dokumencie może uruchomić kod VBA, który pobierze następny składnik ataku albo zmieni ustawienia systemu. Archiwum ZIP może ukrywać skrypt, plik wykonywalny lub skrót systemu Windows z rozszerzeniem .lnk. Nie należy uznawać rozszerzenia ZIP za gwarancję bezpieczeństwa, ponieważ archiwum jest tylko kontenerem na inne pliki.

Oznaki fałszywej korespondencji i bezpieczna weryfikacja

Do sygnałów ostrzegawczych należą: presja czasu, groźba kary za brak podpisu, niespodziewana faktura, nietypowy język wiadomości, prośba o wyłączenie ochrony, żądanie włączenia makr oraz adres nadawcy różniący się od oficjalnej domeny jednym znakiem. Warto rozróżnić nazwę wyświetlaną w programie pocztowym od rzeczywistego adresu nadawcy. Pole „Od” może zostać sfałszowane lub może wskazywać przejęte konto. Dodatkowe informacje z nagłówków, takie jak wyniki kontroli SPF, DKIM i DMARC, mogą pomóc administratorowi ocenić pochodzenie wiadomości, ale ich prawidłowy wynik nie potwierdza automatycznie, że treść jest bezpieczna.

Nieoczekiwanego załącznika nie należy otwierać przez dwukrotne kliknięcie ani odpowiadać na wiadomość przy użyciu danych kontaktowych podanych w jej treści. Tożsamość nadawcy trzeba potwierdzić niezależnym kanałem, na przykład telefonicznie pod numerem zapisanym wcześniej w firmowej książce kontaktów. Dokument można przekazać do analizy administratorowi lub użyć funkcji zgłaszania phishingu dostępnej w używanym programie pocztowym. Jeżeli plik został już otwarty, należy zamknąć dokument, odłączyć komputer od sieci, nie wpisywać haseł na stronach otwartych z załącznika i zgłosić zdarzenie osobie odpowiedzialnej za bezpieczeństwo. Gdy użytkownik podał hasło, powinien zmienić je z bezpiecznego urządzenia oraz unieważnić aktywne sesje, o ile dana usługa udostępnia taką funkcję.

Co sprawdzić po otwarciu podejrzanej „umowy”

Po incydencie warto ustalić dokładny czas otwarcia pliku, jego nazwę, rozszerzenie, źródło wiadomości oraz wykonane czynności. Należy sprawdzić, czy pojawiły się nowe programy, nietypowe procesy, zadania zaplanowane, skróty w folderze Autostart albo nieznane rozszerzenia przeglądarki. W systemie Windows można użyć wbudowanego skanowania Microsoft Defender, jednak wynik skanowania nie zastępuje analizy zdarzenia, zwłaszcza gdy użytkownik wprowadził dane uwierzytelniające na fałszywej stronie. Podejrzanego pliku nie należy przesyłać do przypadkowych internetowych skanerów, jeżeli może zawierać poufne informacje firmowe.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w przypadku podejrzenia infekcji można zlecić serwisowi sprawdzenie systemu, programów uruchamianych automatycznie oraz podstawowych oznak niepożądanej ingerencji. Przed przekazaniem urządzenia warto opisać, co dokładnie wydarzyło się po otwarciu załącznika: czy pojawiło się żądanie włączenia makr, nowe okno logowania, komunikat o błędzie lub nietypowe zachowanie systemu. Jeżeli komputer jest używany w firmie, ustalenia techniczne powinny zostać przekazane także administratorowi, ponieważ samo usunięcie pliku z pulpitu nie unieważnia skradzionych haseł ani nie wycofuje działań wykonanych na koncie.